Dùng AI ở công ty: những gì không nên dán vào chatbot?

Mẫu hướng dẫn ngắn cho nhân viên văn phòng: phân loại dữ liệu, ẩn danh hóa trước khi hỏi AI, dùng công cụ được phê duyệt, kiểm tra đầu ra và biết cách báo sự cố khi lỡ gửi thông tin nhạy cảm.

Một nhân viên kế toán cần hỏi AI cách sửa công thức Excel nhưng dán nguyên bảng lương. Một nhân viên sales muốn soạn email nhắc thanh toán rồi chép cả lịch sử trao đổi với khách hàng vào chatbot cá nhân.

Đây là rủi ro dễ gặp khi công ty chưa có quy định chung về AI. Mục tiêu không phải là cấm dùng AI, mà là giúp mọi người biết nội dung nào không được gửi, nội dung nào cần làm sạch và công cụ nào được phép dùng.

Nguyên tắc đơn giản: chỉ gửi phần AI thật sự cần

AI có thể hỗ trợ những việc quen thuộc như:

Giải thích công thức Excel. Gợi ý dàn ý báo cáo tuần. Viết nháp email. Tóm tắt ghi chú họp đã được làm sạch dữ liệu. Chuyển ý rời rạc thành danh sách việc cần làm.

Nếu chỉ cần hỏi về cấu trúc email hoặc công thức mẫu, hãy dùng dữ liệu giả lập thay vì tải lên file, hợp đồng hay danh sách khách hàng thật.

Ba nhóm dữ liệu dễ nhớ

| Nhóm dữ liệu | Ví dụ | Cách xử lý | |---|---|---| | Có thể dùng | Dàn ý thuyết trình, câu chữ công văn mẫu, công thức Excel không chứa dữ liệu thật | Dùng theo quy định của công ty | | Nội bộ cần làm sạch | Biên bản họp, email khách hàng, log lỗi, hợp đồng mẫu đã xóa thông tin nhận diện | Chỉ dùng sau khi ẩn danh hóa và qua công cụ được phép | | Không dán | Thông tin đăng nhập, dữ liệu cá nhân, bảng lương, hợp đồng thật, dữ liệu tài chính chưa công bố, mã nguồn hoặc logic nghiệp vụ quan trọng | Không đưa vào chatbot |

Một quy tắc thực tế: nếu nội dung bị lộ có thể khiến công ty phải giải trình với khách hàng, nhân viên hoặc đối tác, đừng dán nguyên văn vào AI.

Những nội dung cần cấm rõ ràng

Hướng dẫn nội bộ nên nêu cụ thể các nhóm sau:

Mật khẩu, mã xác thực, API key, token và thông tin đăng nhập. Dữ liệu cá nhân của khách hàng hoặc nhân viên, như thông tin liên hệ hay mã định danh. File lương, hồ sơ nhân sự và đánh giá nội bộ. Danh sách khách hàng, lịch sử giao dịch, thông tin thanh toán. Hợp đồng thật, điều khoản chưa công bố và tài liệu pháp lý nhạy cảm. Dữ liệu tài chính chưa công bố. Mã nguồn, cấu hình hệ thống hoặc logic nghiệp vụ quan trọng.

Ẩn danh hóa trước khi hỏi AI

Ẩn danh hóa là thay hoặc xóa các chi tiết có thể nhận diện người, doanh nghiệp hay giao dịch cụ thể.

Ví dụ, trước khi nhờ AI chỉnh email nhắc thanh toán, hãy thay:

Tên người thành <tên khách hàng>. Tên công ty thành <công ty khách hàng>. Số hợp đồng thành <mã hợp đồng>. Giá trị thanh toán thành <số tiền>. Ngày cụ thể thành <ngày thanh toán>.

Đồng thời xóa email, số điện thoại, địa chỉ, chữ ký và các thông tin nhận diện khác.

Với log lỗi hoặc ảnh chụp màn hình, cần rà soát cả tên người dùng, đường dẫn nội bộ, mã truy cập và địa chỉ email.

Mẫu prompt an toàn hơn

text Hãy viết lại email nhắc thanh toán bằng giọng lịch sự, ngắn gọn.

Bối cảnh: Khách hàng: <tên khách hàng> Hạng mục: <tên dịch vụ> Hạn thanh toán: <ngày> Số tiền: <số tiền>

Yêu cầu: không tự thêm cam kết, điều khoản hoặc số liệu ngoài nội dung tôi cung cấp.

Dùng đúng tài khoản, đúng công cụ

Nếu công ty đã cấp tài khoản AI doanh nghiệp hoặc chỉ định công cụ được phép dùng, nhân viên nên dùng đúng lựa chọn đó thay vì tự sử dụng tài khoản cá nhân.

Tuy nhiên, không nên mặc định tài khoản doanh nghiệp đồng nghĩa dữ liệu chắc chắn không được dùng để huấn luyện. Chính sách dữ liệu có thể phụ thuộc vào điều khoản và cấu hình cụ thể của công cụ mà công ty đang dùng. Khi chưa rõ, hãy hỏi quản lý hoặc bộ phận IT:

Công ty cho phép những công cụ AI nào? Có bắt buộc dùng tài khoản công ty không? Loại nội dung nào được phép đưa vào? Ai là người phê duyệt công cụ hoặc trường hợp sử dụng mới?

Một thành viên diễn đàn cũng nhắc đến các tiện ích trình duyệt kiểu “AI tóm tắt trang”. Đây là điểm nên đưa vào quy định: nhân viên không nên tự cài extension AI để dùng trên hệ thống công việc khi chưa được công ty phê duyệt.

Ví dụ: hỏi AI về bảng lương mà không gửi bảng lương

Nếu cần tạo công thức tính phụ cấp trong Excel, đừng tải file lương thật lên chatbot. Hãy tạo bảng mẫu với dữ liệu giả lập.

Bạn có thể hỏi:

text Tôi có bảng Excel gồm các cột <chức danh>, <ngày công> và <mức phụ cấp>. Hãy gợi ý công thức để tính tổng phụ cấp theo điều kiện <điều kiện>. Giải thích ý nghĩa từng phần của công thức và cách kiểm tra nếu công thức trả về lỗi. Không dùng dữ liệu nhân sự thật.

Sau đó, thử công thức trên một ô mẫu hoặc bản sao trước khi áp dụng vào file công việc.

AI chỉ tạo nháp, con người quyết định

Bản tin liên quan lưu ý prompt injection vẫn là một bài toán cần xử lý khi đưa mô hình ngôn ngữ vào dữ liệu và quy trình nội bộ.

Với người dùng văn phòng, nguyên tắc thực hành vẫn đơn giản: dùng AI để tạo bản nháp, gợi ý hoặc tóm tắt; kiểm tra kỹ trước khi gửi email, thay đổi dữ liệu, phê duyệt điều khoản hoặc thực hiện thao tác trên hệ thống.

Nếu lỡ gửi dữ liệu nhạy cảm

Quy định nội bộ nên có sẵn bước xử lý, thay vì để nhân viên tự xoay xở:

Báo ngay cho quản lý hoặc đầu mối IT/bảo mật của công ty. Ghi lại công cụ đã dùng, thời điểm gửi và loại dữ liệu đã gửi. Không tiếp tục chia sẻ hoặc sao chép nội dung đó sang công cụ khác. Nếu lộ mật khẩu, API key, token hoặc thông tin truy cập, phối hợp với IT để thu hồi và thay mới thông tin liên quan. Làm theo hướng dẫn xử lý sự cố của công ty.

Mẫu quy định nội bộ ngắn có thể sao chép

> Quy định sử dụng AI trong công việc > > 1. Nhân viên chỉ sử dụng các công cụ AI được công ty phê duyệt: <danh sách công cụ>. > 2. Không đưa vào AI thông tin đăng nhập, dữ liệu cá nhân, bảng lương, hợp đồng thật, dữ liệu tài chính chưa công bố, mã nguồn hoặc thông tin nội bộ nhạy cảm. > 3. Với tài liệu nội bộ được phép xử lý, nhân viên phải ẩn danh hóa trước khi gửi và chỉ cung cấp phần cần thiết cho yêu cầu công việc. > 4. Mọi trường hợp cần dùng công cụ mới hoặc xử lý nội dung chưa rõ mức độ nhạy cảm phải được <người/bộ phận phê duyệt> chấp thuận. > 5. Khi lỡ gửi dữ liệu nhạy cảm, nhân viên phải báo ngay cho <đầu mối IT/bảo mật>.

Checklist trước khi bấm gửi

[ ] Tôi có đang gửi dữ liệu nhạy cảm hoặc thông tin nhận diện không? [ ] Tôi đã thay tên, mã, số tiền, email và chi tiết nhận diện bằng placeholder chưa? [ ] Tôi đang dùng công cụ và tài khoản được công ty cho phép chưa? [ ] Tôi có thể kiểm tra lại đầu ra trước khi gửi hoặc áp dụng không? [ ] Nếu có sự cố, tôi biết cần liên hệ ai chưa?

Kết luận

Một quy định tốt không chỉ viết “không đưa dữ liệu mật vào AI”. Quy định cần đủ cụ thể để nhân viên biết phải làm gì trong từng tình huống.

Công thức ngắn gọn là: phân loại dữ liệu, làm sạch nội dung, dùng đúng công cụ và luôn kiểm tra bước cuối. Nhờ vậy, AI có thể hỗ trợ công việc mà không trở thành một điểm rủi ro mới.